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PROCEDE DE SECURISATION DE L'EXECUTION D'UN PROGRAMME IMPLANTE DANS UN MODULE 
ELECTRONIQUE A MICROPROCESSEUR, AINSI QUE LE MODULE ELECTRONIQUE ET LA CARTE A 
MICROCIRCUIT ASSOCIES. 

@) Le procede de securisation de I'execution d'un pro- pav 
gramme PROG implante en ROM dans un module electro- 
nique ^ microprocesseur comporte au moins les etapes 
suivantes: - on declenche par intermittence a l*aide d'un de- 
compteur a rearmement automatique inclus dans le module 
une interruption IT1, IT2 dans I'execution du programme 
PROG; et 

- on deroute 60, 66 a chaque interruption IT1, IT2 I'exe- 
cution du programme vers une routine de gestion de Tinter- 
ruption RITT comportant comme premiere instruction 
Tinstruction de retour d'interruption IRET 70 vers le pro- 
gramme 62, 66 au point de deroutage de rinterruption IT1 , 
IT2. 

L'invention concerne egalement un module 6lectronique 
a microprocesseur adapte pour mettre en oeuvre le procede 
ci dessus. 
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PROCEDE DE SECURISATION DE 1' EXECUTION D'UN PROGRAMME 
IMPLANTE DANS UN MODULE ELECTRONIQUE A MICROPROCESSEUR . 
AINSI QUE LE MODULE ELECTRONIQUE ET LA CARTE A 
MICROCIRCUIT ASSOCIES 

La presente invention concerne la securisation de modules 
electroniques comportant au moins un microprocesseur, une 
memoire de type ROM/ EE PROM contenant au moins un 
programme a executer et des moyens d ' entree/sortie pour 
communiquer avec l'exterieur. De tels modules sont 
realises le plus souvent sous la forme d'un microcircuit 
electronique integre monolithique , ou puce, qui une fois 
protege physiquement par tout moyen connu peut etre monte 
sur un ob jet portatif type carte a puce, carte a 
microcircuit ou analogue utilisable dans divers domaines, 
notamment les cartes bancaires et/ou commerciales , la 
radiotelephonie mobile, la television a peage , la sante 
et les transports. 

D'une facon generale la securisation est destinee a 
accroi tre la securite anti-fraude d'un programme qui 
comporte un certain nombre d ' instructions 

particulierement critiques pour la bonne execution de ce 
programme, en particulier certaines instructions a 
caractere operationnel relatives au deroulement d'une 
transaction par 1 ' intermediate du module electronique 
et/ou des instructions a caractere securitaire propre 
concernant par exemple 1 ' authentif ication de 
l'utilisateur, 1 'authentif ication de la transaction et de 
sa validite, le maintien de la confidentiality des 
donnees, le cryptage/decryptage des donnees. 

Si 1 'utilisation frauduleuse des cartes a puce n'est pas 
un phenomene nouveau, 1 ' accroissement du volume et de la 
valeur des transactions sur carte a puce a amene les 
fraudeurs a utiliser des methodes et des moyens de plus 
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en plus sophistiques. En particulier des attaques par 
rayonnements breves et ciblees sur la puce ont pour 
consequence de modifier les donnees et/ou les codes 
transitant d'une memoire programme ROM et/ou EEPROM vers 
le microprocesseur sur le bus interne avec pour resultat 
1 ' inexecution ou 1' execution irreguliere de certaines 
parties du code, par exemple 1' execution d ' instructions 
inoperantes en lieu et place d'une sequence de traitement 
securitaire. 



Les parades a base de detecteurs de rayonnement s'averent 
inefficaces du fait de la finesse et la precision des 
emetteurs de rayonnements utilises par les fraudeurs 
d'une part et du fait du risque de perturbation par 
rayonnement de la sequence logicielle de traitement du 
capteur d' autre part. Parmi d'autres solutions proposees, 
notamment dans le cadre de la demande de brevet francais 
n°99. 08409 au nom du Demandeur, certaines, comme le 
contrdle de parite sur le bus, necessitent des 
modifications au niveau du dessin et de la conception de 
la puce elle-meme, d'autres, comme 1 ' introduction de 
drapeaux en RAM, ne font appel qu'a des solutions 
purement logicielles et de ce fait sont susceptibles 
d'etre contournees par le type meme d' attaques qu'elles 
visent a neutraliser. 

La presente invention a pour but de s' assurer de la bonne 
execution du code d ' instructions contenu en ROM et/ou en 
EEPROM et qu'aucune attaque par rayonnement n'est en 
cours et en cas d' attaque d'arreter 1' execution 
normalement prevue du programme (1 'execution de la 
session en cours). 

A cette fin 1 • invention propose un procede de 
securisation de 1' execution d'un programme implante en 
memoire ROM et/ou EEPROM dans un module electronique a 
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microprocesseur caracterist en ce qu'il comporte au moins 
les e tapes suivantes : 

- on declenche par intermit tence h l'aide de moyens 
materiels inclus dans le module une interruption dans 
1' execution du programme; et 

- on deroute a chaque interruption, k l'aide du 
microprocesseur, 1' execution du programme vers une 
routine de gestion de 1 ' interruption comportant comme 
premiere instruction ou parmi les premieres instructions 
de la routine 1 ' instruction de retour au programme au 
point de deroutage. 

A chaque interruption provoquee le code programme est 
deroute vers une routine de traitement de cette 
interruption qui prevoit un retour normal au point de 
deroutage du programme , ce dernier poursuivant alors son 
execution. De plus une attaque par rayonnement n'est pas 
capable d'empecher le declenchement d'une interruption 
par les moyens materiels inclus dans le module. Si cette 
attaque par rayonnement persiste lors de I'extcution de 
la routine de traitement de 1 ' interrupt ion provoquee, 
elle entrainera 1 ' inexecution de 1 ' instruction de retour 
au programme et de fait empechera 1 'execution correcte de 
la suite de ce programme. 

Le procede selon 1' invention fournit ainsi une parade 
efficace aux attaques par rayonnement qui est susceptible 
d'etre mise en oeuvre en utilisant des circuits 
preexistants (sans adaptation materielle ni modification 
du dessin ou de la conception de la puce electronique) et 
des ressources memoires limitees et qui ne penalise pas 
de fagron sensible les performances du module 
electronique . 



De preference la premiere instruction de la routine de 
gestion de 1 ' interruption est constitute par 
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1' instruction de retour au programme au point de 
deroutage pour revenir au traitement interrompu. En effet 
il n'est en general pas necessaire de pr^voir de 
traitement logiciel prealable a 1 ' instruction de retour 
puisque celui-ci ne sera pas execute en cas d'attaque par 
rayonnement en cours. Ainsi la routine de gestion de 
1 'interruption peut etre r£duite a seule une instruction 
de fagon a ne pas affecter sensiblement les performances 
du programme et a ne pas utiliser trop de volume memoire 
dans la memoire ROM/ EE PROM . 

Selon un mode de realisation pref <§rentiel de 1' invention 
la routine de gestion de 1 ' interruption est placee en ROM 
et/ou en EE PROM au dernier emplacement de la memoire 
programme ou juste avant une frontiere de domaine partage 
de fagon k sortir de la zone de memoire programme 
autorisee lors de 1 ' incrementation du compteur de 
programme en cas de non-execution de 1 ' instruction de 
retour au programme. II en resulte une interruption non 
masquable et un blocage immediat du microprocesseur 
perceptible d'emblee par 1 ' utilisateur . 

Selon une autre variante interessante du procede selon 
1' invention 1 ' instruction ,de retour au programme de la 
routine de gestion de 1 ' interruption est immediatement 
suivie en ROM et/ou en EEPROM d'une sequence de 
positionnement d'un indicateur de fraude en memoire, 
notamment en memoire EEPROM ou analogue, pour avertir 
d'une attaque frauduleuse passee. 

Selon un mode de realisation pref£rentiel de 1' invention, 
les moyens materiels comportent un circuit decompteur 
(timer) a rearmement automatique ou un circuit 
electronique analogue, Ainsi une exception est lev£e a 
chaque fois que le decompteur (egalement appel£ minuteur) 
arrive k expiration. Cette exception est suivie du 
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deroutage de code programme vers la routine de traitement 
de 1' interruption decompteur. Le choix d'un decompteur a 
rearmement automatique comme generateur d ' interruption 
est particulierement interessant a plusieurs titres, 
d'une part les decompteurs a rearmement automatique font 
partie de l'equipement de base des modules electroniques 
a microprocesseur, notamment les microcontrdleurs , et 
d' autre part parce qu'ils s'averent assez faciles a 
mettre en oeuvre du point de vue programme t ion. En effet 
on utilise directement 1 ' instruction retour de 
1' interruption. En conclusion le decompteur a rearmement 
automatique est le moyen materiel tres simple et tres 
fiable pour provoquer une interruption sans intervention 
logicielle et a intervalles reguliers grace au rearmement 
automatique. 

Selon une premiere variante operatoire la valeur 
d' initialisation du circuit decompteur est rendue 
variable, notamment a chaque redemarrage du programme 
(nouvelle session). Avantageusement la variation de la 
valeur d' initialisation du circuit decompteur comporte au 
moins un parametre obtenu a partir d'un generateur de 
nombres pseudo-aleatoires , sous -ensemble egalement 
frequemment present dans les microcontrSleurs pour 
traitements securises. Ainsi le moment oil un traitement 
est interrompu et le controle realise est rendu variable 
tres difficilement previsible, voire imprevisible , pour 
les fraudeurs. 

L' invention prevoit a titre optionnel un certain nombre 
de procedures et/ou caracteristiques complementaires 
destinees a encore augmenter l'efficacite de 1' invention. 
Parmi celles-ci on peut citer : 

la repetition dans la suite d ' instructions du programme 
de certaines instructions, notamment d ' instructions 
securitaires de facon a augmenter en cas d'attaque les 
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chances d' interruption au cours de 1' execution de cette 
sequence d' instructions ; 

- 1' introduction dans la suite d ' instructions du 
programme d'au moins une boucle de decalage temporel de 
1' execution d ' instructions avec en option la variation du 
decalage temporel d'une boucle a une autre et 
1' introduction d'un parametre aleatoire dans cette 
variation par 1 ' intermediate d'un generateur de nombres 
pseudo- aleatoires . 

L' invention concerne egalement des modules electroniques 
securises comportant chacun au moins un microprocesseur , 
une memoire ROM et/ou une memoire EEPROM comprenant au 
moins un programme a ex^cuter, le module etant 
caracterise en ce qu'il comporte des moyens materiels 
adaptes pour d^clencher par intermittence une 
interruption dans 1 'execution du programme et en ce que 
la memoire ROM et/ou EEPROM comporte une routine de 
gestion de 1 ' interruption comportant comme premiere 
instruction ou parmi les premieres instructions de la 
routine 1 ' instruction de retour au programme au point de 
deroutage . 

Selon une autre variante optionnelle du module de 
1' invention la routine de gestion de 1 ' interruption est 
placee en ROM et/ou EEPROM au dernier emplacement de la 
memoire programme ou juste avant une frontiere de domaine 
partage de facon a sortir de la zone de memoire programme 
autorisee lors de 1 ' incrementation du compteur de 
programme en cas de non-execution de 1 ' instruction de 
retour au programme. 

Selon une variante optionnelle du module de 1 ' invention 
1' instruction de retour au programme de la routine de 
gestion de 1 ' interruption est immediatement suivie en ROM 
et/ou en EEPROM d'au moins une sequence de positionnement 
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d'un indicateur de fraude en memoire, notamment en 
memoire EE PROM ou analogue, 1' indicateur etant adapte de 
facon optionnelle pour avertir d'une attaque frauduleuse 
passee . 

Selon un mode de realisation preferentiel du module de 
1' invention les moyens materiels comportent un circuit 
decompteur a rearmement automatique ou un circuit 
electronique analogue. 

De plus le module comporte des moyens materiels et/ou 
logiciels pour faire varier la valeur d ' initialisation du 
circuit decompteur, notamment a l'aide d'un generateur de 
nombres pseudo -aleatoires . 

Avantageusement certaines d ' instructions , notamment des 
instructions securitaires , sont r6petes en memoire 
ROM/EEPROM dans la suite d' instructions du programme 
implante dans le module selon 1' invention. 

Tout aussi avantageusement au moins une boucle de 
decalage temporel de 1 'execution de certaines 
d' instructions est introduite dans la memoire ROM et/ou 
EEPROM du module dans la suite d ' instructions du 
programme. En variante le decalage temporel est variable 
d'une boucle a une autre, notamment a l'aide d'un 
generateur de nombres pseudo - aleatoires . 

L' invention concerne egalement une carte a microcircuit 
comportant un module electronique securise tel que defini 
ci-avant dans ses differentes variantes. 

D'autres buts, avantages et caracteristiques de 
1" invention apparaxtront a la lecture de la description 
qui va suivre de la mise en oeuvre du precede selon 
1' invention et d'un mode de realisation d'un module 
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electronique a microprocesseur selon 1 ' invention donnes k 

titre d'exemple non limitatif en reference aux dessins 

ci- annexes dans lesquels: 

la figure 1 montre une representation schematique d'un 
mode de realisation d'un module Electronique a 
microprocesseur selon 1' invention; et 

- la figure 2 montre une representation schematique de 
l'espace d'adressage code de la memoire ROM de la 
figure 1 accompagne de deux sous -parties de programme 
plus d^taillees, la portion de code A proteger et la 
routine d ' interruption . 

Le module electronique monolithique 10 a microprocesseur 
illustre a la figure 1 selon la presente invention et 
d£crit a titre d'exemple non limitatif comporte d'une 
fagon generale un microprocesseur CPU 11 reli<§ de fagon 
bidirectionnelle par un bus interne 12 a une memoire vive 
RAM 14, une memoire morte ROM 16, une memoire EE PROM 18 
et une interface entree/sortie I/O 20. Le module 10 
comporte egalement un decompteur TIMER 22 h rearmement 
automat ique et un generateur de nombres pseudo-alEatoires 
GNPA 24 relies au bus interne 12. 

-Comme indique ci-apres le decompteur 22 et le generateur 
GPNA 24 sont utilises dans le cadre de la presente 
invention pour le d£clenchement par intermittence 
d' interruptions dans 1' execution de certains programmes 
implant£s dans la ROM 16, notamment le programme PROG 
comportant des instructions dits securitaires , telles par 
exemple des instructions de cryptage/d£cryptage , des 
instructions d'authentif ication d'operateur ou des 
instructions de validation de transaction (et reperees 
par le code INST en figure 2). 

A titre d'exemple non limitatif un module selon 
1' invention est utilisable, en association avec un objet 
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support pour former une carte a microcircuit , corrane carte 
bancaire ou comme porte -monnaie electronique . En ce qui 
concerne le cadencement du decompteur 22, celui ci est 
reduit par rapport a la frequence de l'horloge par un 
facteur de division variable selon les modules et en 
general compris entre 4 et 32, ce qui donne un intervalle 
minimum entre les declenchements de deux interruptions 
successives compris entre 1 et 8 instructions. 

La figure 2 illustre l'espace d'adressage code de la 
memoire ROM 16 de la figure 1 et intitule EAC ( ROM ) . Cet 
espace EAC (ROM) se presente sous la forme d'une sequence 
de lignes de code (donnees et constantes comprises) 
allant de l'adresse la plus basse en haut de colonne a 
l'adresse la plus haute en bas de colonne. Cet espace 
EAC ( ROM ) est partage en domaines contenant notamment des 
programmes, tels le programme PROG, et des routines, 
telle la routine RITT , routine de gestion de 
1' interruption declenchee par decompteur. L'espace 
EAC (ROM) comporte egalement en bas de colonne une zone 
sans memoire ou une zone de memoire . non executable ZNE, 
la zone memoire executable encore disponible et non 
utilisee etant denommee ZNU. Selon une caracteristique 
optionnelle mais tres interessante de 1' invention exposee 
ci-apres, la routine RITT est implantee juste avant la 
zone ZNE . 



La figure 2 montre egalement une illustration en colonne 
agrandie du programme PROG et une illustration en colonne 
agrandie de la routine de gestion de 1 ' interruption RITT 
avec en pointille les segments de correspondance des 
adresses de tete et de queue des sous parties logicielles 
correspondants, les segments 51 et 52 pour la colonne 
PROG et les segments 53 et 54 pour la colonne RITT. 
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Le programme PROG comporte en tete un jeu d' instructions 
INITT concernant la configuration et 1 ' initialisation du 
decompteur a rearmement automatique 22 y compris la 
gestion de 1 'utilisation du generateur GNPA 24 pour la 
determination de la valeur d ' initialisation du compteur a 
defilement decroissant integre dans le decompteur 22. Les 
instructions INITT sont suivies des lignes du programme 
PROG proprement dit (chaque ligne indif f erenciee etant 
representee par 3 tirets au centre de la ligne). Tel que 
represents sur la figure 2 a titre d'exemple le 
programme PROG comporte au moins deux instructions INST a 
securiser. Ces instructions peuvent etre identiques 
(repetition pour que 1 ' instruction ait de bonnes chances 
d'etre executee avec une interruption de controle) ou 
distinctes en cas de multiplicity d ' instructions 
(authentif icat.ion d'operateur en dSbut de transaction et 
de validation de transaction a la fin). Les instructions 
INST sont encadrees par des boucles a decalage temporel 
BDT destinees a decaler d'une duree al£atoire 1 'execution 
de la prochaine instruction INST. 

La routine RITT correspondant a la routine de traitement 
d' interruption decompteur comporte comme premiere 
instruction, 1 ' instruction IRET de retour d ' interruption 
au point de d^routage du programme PROG. De fagon 
optionnelle 1 ' instruct ion IRET est suivie d'une ou 
plusieurs sequences de posi tionnement en m£moire d'un 
indicateur de fraude SPIF en l'esp^ce dans la memoire 
EEPROM 18. Au posi tionnement d'un indicateur de fraude 
proprement dit, est associee une procedure d ' interdiction 
du fonctionnement operationnel ult^rieur du module 
electronique. 

L' execution du programme PROG s'effectue de la fagon 
suivante en defilant la sequence d ' instructions de la 
colonne PROG et commence par le chargement dans le 
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compteur du decompteur 22 de sa valeur initiale, une 
valeur preetablie et eventuellement deja modifiee par 
prise en compte d'un parametre de variation obtenu a 
partir du generateur GNPA 24. Au fur et a mesure de 
1' execution du programme PROG, la valeur instantanee du 
compteur /decompteur du decompteur 22 decroit jusqu'a 
expiration et atteindre la valeur zero pendant 
1' execution d'une instruction de PROG, par exemple la 
premiere instruction INST de la colonne PROG. II s'ensuit 
la levee d'une exception et, apres la fin de 1 'execution 
de 1 ' instruction en cours , le deroutage au point IT1 
selon la fleche 60 du code programme vers la routine de 
traitement de 1 ' interruption decompteur representee par 
la colonne RITT, 1 ' instruction suivante a executer dans 
le registre « compteur programme » du microprocesseur 11 
etant la premiere instruction de la colonne RITT, c'est a 
dire 1 ' instruction IRET de retour d' interruption au point 
IT1 selon la f leche 62. En cas d' absence d'attaque par 
rayonnement 1 ' instruction IRET est executee normalement 
selon la fleche 70 comme le retour vers le point IT1 
selon la fleche 62. Le compteur /decompteur du decompteur 
est alors reinitialise de facon automatique et 
correspondant a l'intervalle de temps d' execution DT12 du 
programme PROG passe entre le point IT1 (instant 
« retour ») et le point IT2 correspondant a la seconde 
interruption (instant « deroutage ») et represents sur la 
colonne prog par la double fleche 72. En 1' absence 
d'attaque par rayonnement lors de la seconde interruption 
IT2 la procedure decrite ci-avant se repete avec 
deroutage vers la routine RITT selon la fleche 64, 
1 'execution normale selon 70 de 1 ' instruction IRET de 
cette routine et le retour au point IT2 selon la fleche 
66. 

A titre de variante il est possible d'utiliser un 
compteur/decompteur a rearmement non automatique a 
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commande logicielle integree a la routine RITT. II est 
ainsi possible de donner au compteur/decompteur une 
nouvelle valeur initiale differente de la prec«§dente 
valeur initiale, eventuellement en ajoutant avec une 
composante aleatoire a l'aide du g^nerateur GNPA 24. 
Cette caracteristique presente de 1 ' interet notamment si 
l'on recherche a augmenter ou a r^duire la frequence des 
interruptions selon l'etat d ' avan cement de 1 'execution du 
programme . 

D'une fagon generale la duree d'une attaque par 
rayonnement recouvre environ le temps d' execution de 
plusieurs instructions de code programme que celles-ci 
soient normalement ex£cutees ou executees de fagon 
inoperante du fait de 1 'alteration des codes programme en 
transit sur le bus interne 12 lors d'une attaque par 
rayonnement. Ainsi les intervalles variables entre deux 
interruptions sont distants d' environ une centaine 
d' instructions, etant entendu qu'un rapprochement 
d' intervalles entre interruptions est tou jours possible 
au cours de 1' execution d'un programme code autour des 
instructions a securiser (dans la limite des possibility 
de d£clenchement du decompteur utilise) en prenant garde 
de ne pas allonger sensiblement le temps d' execution du 
programme concerne . 

En cas d' attaque par rayonnement en cours au moment ou la 
valeur du compteur/decompteur du decompteur 2 2 atteint la 
valeur zero, la procedure d' interruption sur decompteur 
entierement ger6e par un support materiel insensible a ce 
type d' attaque (le microprocesseur 11) s'executera 
normalement avec deroutage selon la fleche 60 vers la 
routine RITT. Par contre 1 'attaque par rayonnement 
empgchera 1 'execution de 1 ' instruction logicielle de 
retour d ' interruption IRET 70 au point de deroutage IT1 
et 1' execution du programme PROG ne pourra pas reprendre, 
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le compteur programme du microprocesseur 11 gardant comme 
instruction suivante la premiere instruction SPIF. Le 
parcours sans effet de la routine RITT se continue 
jusqu-a la derniere instruction SPIF , etant fait 
remarquer qu'en cas d' arret de l'attaque avant la 
derniere instruction SPIF, au moins une sequence de 
positionnement d'un indicateur de fraude est executee 
selon 1' instruction SPIF pour signaler a l'OS {de 
1 'anglais « Operating System » ou systeme d ' exploitation) 
du microprocesseur l'attaque par rayonnement passee et 
provoquer 1 ' interdiction par l'OS de la poursuite de la 
session en cours d' execution. 

Du fait de la position particuliere de la routine RITT en 
ROM 16 au dernier emplacement de la memoire programme (ou 
juste avant une frontiere de domaine partage) 
1' incrementation du compteur de programme a la fin de la 
routine RITT provoquera une sortie de la zone de memoire 
programme autorisee pour entrer dans la zone de memoire 
non executable ZNE. Ceci aura pour effet de declencher 
une interruption non masquable et un traitement en vue de 
1' interdiction de la poursuite de la session en cours 
d' execution. 

On notera pour finir que la mise en oeuvre du procede 
selon 1' invention est assez simple et peu couteuse en 
ressources et en temps. Elle utilise le decompteur a 
rearmement automatique present dans la puce et 
1 ' interruption associee. Seul est necessaire l'ajout du 
code d' initialisation en debut de session de programme et 
de la routine de gestion de 1 ' interruption . routine qui 
peut etre reduite a une seule instruction. Le temps 
d' execution consomme par la mise en oeuvre du procede 
correspond a 1 ' initialisation du decompteur en debut de 
session et a 1 'execution de 1 ' instruction de retour 
d' interruption a chaque interruption. Le procede selon 
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1' invention peut etre utilise sur les portions les plus 
sensibles d'un programme ou etre etendu a la protection 
de l'integralite du code programme sans veritablement 
penaliser les performances de celui-ci en volume memoire 
et en temps d' execution. 



Le module 10 avec son programme securise selon 
1' invention tels que presente ci-avant est monte sur un 
support approprie pour realiser par exemple une carte a 
microcircuit utilisable dans divers domaines , notamment 
les cartes bancaires et/ou commerciales, la 
radiotelephonie mobile, la television a peage, la sante 
et les transports. 

L' invention n'est pas limitee a 1 ' utilisation de modules 
electroniques a decompteur a rearmement automatique mais 
s 'applique egalement aux modules Electroniques dont 
1 'architecture et les moyens materiels sont susceptibles 
de declencher des interruptions provoquees , et notamment 
a des modules electroniques incorporant des circuits a 
base de temps analogues aux circuits decompteurs a 
rearmement automatique ou a rearmement logiciel , par 
exemple des circuits bases tant sur le 
comptage/decomptage d' impulsions d'horloge que sur le 
comptage du nombre d ' instructions ou de lignes 
d' instructions ef f ectivement executees. 
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REVENDICATTOWfi : 

1. Proc<§de de securisation de 1' execution d'un programme 
implante en memoire ROM (16) et/ou EE PROM (18) dans un 
module electronique (10) a microprocesseur (11) 
caracterise . en ce qu'il comporte au moins les etapes 
suivantes : 

- on d^clenche par intermi ttence a l'aide de moyens 
materiels (11) inclus dans le module (10) une 
interruption dans 1' execution du programme ; et 

- on deroute a chaque interruption, a l'aide du 
microprocesseur, 1' execution du programme vers une 
routine de gestion de 1 ' interruption comportant comme 
premiere instruction ou parmi les premieres instructions 
de la routine 1 ' instruction de retour au programme au 
point de deroutage . 

2. Proc6de selon la revendication 1 caracterise en ce que 
la routine de gestion de 1 ' interruption est placee en ROM 
(16) et/ou en EEPROM (18) au dernier emplacement de la 
memoire programme ou juste avant une frontiere de domaine 
partage de fagon a sortir de la zone de memoire programme 
autorisee lors de 1 ' incrementation du compteur de 
programme en cas de non-execution de 1 ' instruct ion de 
retour au programme. 

3. Proced6 selon la revendication 1 caracterise en ce que 
1 ' instruction de retour au programme de la routine de 
gestion de 1 ' interruption est immediatement suivie en ROM 
(16) et/ou en EEPROM (18) d'une sequence de 
posit ionnement d'un indicateur de fraude en memoire, 
notamment en memoire EEPROM (18) ou analogue, pour 
avert ir d'une attaque frauduleuse passee. 



4. Proc£de selon la revendication 1 caracterise en ce que 
lesdits moyens materiels comportent un circuit decompteur 
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a rearmement automatique (22) ou un circuit £lectronique 
analogue . 

5. Procede selon la revendication 4 caracterise en ce que 
la valeur d ' initialisation du circuit decompteur (22) est 
variable. 

6. Proced<§ selon la revendication 5 caracterise en ce que 
la variation de la valeur d ' initialisation du circuit 
decompteur (22) comporte au moins un parametre obtenu a 
partir d'un gen<§rateur de nombres pseudo -aleatoires (24). 

7. Procede selon la revendication 1 caracterise en ce que 
certaines instructions, notamment des instructions 
securitaires, sont repetees dans la suite d ' instructions 
du programme. 

8. Procede selon la revendication 1 caracterise en ce 
qu'au moins une boucle de decalage temporel de 
1 'execution d ' instructions est introduite dans la suite 
d ' instructions du programme. 

9. Proced£ selon la revendication 8 caracterise en ce que 
le decalage temporel est variable d'une boucle k une 
autre. 

10. Procede selon la revendication 9 caracterise en ce 
que la variation du decalage temporel comporte au moins 
un parametre obtenu a partir d'un generateur de nombres 
pseudo-aleatoires (24) . 

11- Module electronique (10) comportant au moins un 
microprocesseur (11) et une memoire ROM (16) et/ou une 
memoire EE PROM (18) comprenant au moins un programme a 
executer, le module 6tant caracterise en ce qu'il 
comporte des moyens mat<§riels (22) adapt^s pour 
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declencher par intermittence une interruption dans 
1 'execution du programme et en ce que ladite memoire ROM 
(16) et/ou EEPROM (18) comporte une routine de gestion de 
1' interruption comportant comme premiere instruction ou 
parmi les premieres instructions de la routine 
1' instruction de retour au programme au point de 
deroutage . 



12. Module (10) selon la revendication 11 caracterise en 
ce que lesdits moyens materiels comportent un circuit 
decompteur du type a rearmement automatique (22) ou un 
circuit electronique analogue. 

13. Module (10) selon la revendication 14 caracterise en 
ce qu'il comporte des moyens materiels et/ou logiciels 
pour faire varier la valeur d ' initialisation du circuit 
decompteur, notamment a l'aide d'un gen^rateur de nombres 
pseudo-aleatoires (24) . 

14. Carte a microcircuit caracteris^e en qu'elle comporte 
un module electronique selon la revendication 11. 
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